GZ: 2021-0.415.529 vom 6. August 2021 (Verfahrenszahl: DSB-D124.3325)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Der Name des AMS als Körperschaft öffentlichen Rechts, das nicht Partei dieser Sache war, ist nicht pseudonymisiert worden, da seine gesetzlich festgelegten Aufgaben der Arbeitsvermittlung Teil der Begründung sind, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dipl. Ing. Richard A*** (Beschwerdeführer) aus **** E***berg vom 1. Dezember 2020 gegen die N*** Personalbereitstellung GmbH (Beschwerdegegnerin) aus **** J***stadt (durch das Landesgericht H**** im Firmenbuch eingetragen zu FN*3*2*0g) wegen Verletzung im Recht auf Löschung wie folgt:
1. Der Beschwerde wird Folge gegeben , und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Löschung verletzt hat, indem sie dessen Antrag auf Löschung vom 3. Oktober 2020 nicht nachgekommen ist.
2. Die Beschwerdegegnerin wird angewiesen , innerhalb einer Frist von 4 Wochen bei sonstiger Exekution sämtliche von ihr verarbeiteten Daten des Beschwerdeführers zu löschen .
Rechtsgrundlagen : Art. 5 Abs. 1 lit. a und Abs. 2, Art. 12 Abs. 3, Art. 14 Abs. 1, Abs. 2 und Abs. 3 lit. b, Art. 17 Abs. 1 lit. d, Art. 24 Abs. 1, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1 idgF; § 18 Abs. 1 sowie § 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Beschwerdeführer hat in seiner am 1. Dezember 2020 bei der Datenschutzbehörde eingelangten Beschwerde vorgebracht, die Beschwerdegegnerin habe ihm auf seinen schriftlich (per E-Mail) gestellten und begründeten Löschungsantrag vom 3. Oktober 2020 hin keine Antwort, auch keine Ablehnung des Antrags, zukommen lassen. Er habe von der Beschwerdegegnerin ungefragt Jobangebote per SMS erhalten, wobei die Beschwerdegegnerin telefonisch die Auskunft erteilt habe, seine Kontaktdaten vom Arbeitsmarktservice (AMS) erhalten zu haben.
2. Die Beschwerdegegnerin, von der Datenschutzbehörde zur Stellungnahme aufgefordert (Verfahrensanordnung vom 7. Dezember 2020, GZ: 2020-0.800.849), hat zunächst nicht reagiert.
3. Nach der Urgenz einer Stellungnahme (Verfahrensanordnung vom 25. März 2021, GZ: 2021-0.213.417, der Beschwerdegegnerin als RSb-Brief nachweislich zugestellt am 6. April 2021) hat die Beschwerdegegnerin mit Schreiben vom 12. April 2021 folgende Stellungnahme abgegeben: Der Beschwerdeführer sei im Zeitpunkt der ersten Kontaktaufnahme beim AMS als arbeitsuchend gemeldet gewesen. Da man die Daten „vom AMS als offizieller Plattform der Arbeitsvermittlung“ übermittelt erhalten habe, sehe man es nicht als rechtswidrig, dem Beschwerdeführer ein Stellenangebot vorzulegen. Auf die Frage des Löschungsrechts des Beschwerdeführers ist die Beschwerdegegnerin in ihrer Stellungnahme nicht eingegangen.
4. Nach Parteiengehör zu diesem Ergebnis des Ermittlungsverfahrens (Verfahrensanordnung vom 15. April 2021, GZ: 2021-0.267.486) hat der Beschwerdeführer am 19. April 2021 folgende Stellungnahme abgegeben: Die Sichtweise der Beschwerdegegnerin zum Umgang mit seinen Daten sei ihm aus direkten Kontakten bekannt. Es gehe ihm aber nicht um die Rechtmäßigkeit der Ermittlung seiner Daten, sondern nur um die Frage der Durchsetzung seines Löschungsrechts. Er habe seine Stellenanzeigen via AMS-Online-Portal alle ruhend gestellt, nachdem er keine Unterstützung durch das AMS mehr in Anspruch genommen habe, von der Beschwerdegegnerin habe er jedoch, trotz mehrfacher Löschungsersuchen, SMS mit Stellenanboten erhalten, zuletzt am 16. April 2021.
5. Nach Parteiengehör zur Stellungnahme des Beschwerdeführers vom 19. April 2021 und Aufforderung an die Beschwerdegegnerin, unter anderem unter Hinweis auf die Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO (Verfahrensanordnung vom 23. April 2021, GZ: 2021-0.291.660), neuerlich zum Vorbringen des Beschwerdeführers Stellung zu nahmen, hat die Beschwerdegegnerin keine Stellungnahme mehr abgegeben.
B. Beschwerdegegenstand
Aufgrund des Vorbringens der Parteien ergibt sich, dass Gegenstand des Verfahrens die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer durch die Weigerung, einem Antrag auf Löschung vom 3. Oktober 2020 nachzukommen, in seinem Recht auf Löschung verletzt hat.
C. Sachverhaltsfeststellungen
6. Die Beschwerdegegnerin betreibt das Gewerbe der Überlassung von Arbeitskräften (GISA-Zl. *6*99*4*8).
7. Beweiswürdigung : Diese Feststellung stützt sich auf das öffentliche Gewerbeinformationssystem Austria (GISA) des Bundesministeriums für Digitalisierung und Wirtschaftsstandort (Abfrage der Daten der Beschwerdegegnerin am 5. August 2021, Auszug einliegend in der Geschäftszahl dieses Bescheids).
8. Die Beschwerdegegnerin verarbeitet Daten des Beschwerdeführers (insbesondere dessen Mobilfunknummer 06**/*8*4*77*1), die sie ohne Mitwirkung des Beschwerdeführers einer öffentlichen Online-Stellenanzeige des Beschwerdeführers, der im Jahr 2020 auf Stellensuche war, im eJob-Room für BewerberInnen des Arbeitsmarktservice (AMS) entnommen und für eigene Zwecke verarbeitet hat. Sie hat diese Daten in weiterer Folge mehrfach dazu verwendet, den Beschwerdeführer unaufgefordert per Mobilfunk-Kurznachrichten (SMS) zu kontaktieren und ihn dazu aufzufordern, mit mehreren ihrer Kunden telefonisch Kontakt aufzunehmen, die auf das berufliche Profil des Beschwerdeführers passende „Jobangebote“ hätten.
9. Beweiswürdigung : Diese Feststellungen stützen sich auf das glaubwürdige und sachverhaltsmäßig von der Beschwerdegegnerin nicht bestrittene Vorbringen des Beschwerdeführers in der Beschwerde vom 1. Dezember 2020 (einliegend als Eingangsstück in GZ: 2020-0.800.849) und in der Stellungnahme vom 19. April 2021 (einliegend als Eingangsstück in GZ: 2021-0.291.660).
10. Nach vorheriger erfolgloser telefonischer Kontaktaufnahme mit der Beschwerdegegnerin mit dem Ziel, keine derartigen SMS mehr zu erhalten, und nachfolgender Deaktivierung der Online-Stellenanzeige im eJob-Room, hat der Beschwerdeführer am 3. Oktober 2020 ein Schreiben (E-Mail) mit folgendem Inhalt an die allgemeine E-Mail-Adresse der Beschwerdegegnerin (office@n***personal.com) gerichtet:
[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original des Bescheids als grafische Datei wiedergegebene Schreiben (E-Mail) des Beschwerdeführers wurde zwecks Wiedergabe im RIS mittels OCR in ein Textdokument umgewandelt. Das Layout ist nur annähernd wiedergegeben.]
„Betreff: Antrag auf unverzügliche Löschung gemäß Art. 17 Abs. 1 DSGVO
Von: Richard A*** r.a***@x***net.com
Datum 03.10.2020 17:**
Guten Tag,
ich stelle hiermit Antrag auf unverzügliche Löschung mich betreffender personenbezogener Daten gemäß Art. 17 Abs. 1 DSGVO.
Bitte löschen Sie sämtliche mich betreffenden personenbezogenen Daten nach der Definition des Art. 4 Nr. 1 DSGVO.
Ich bin der Meinung, dass die Voraussetzungen des Art. 17 Abs. 1 DSGVO gegeben sind. Sie können auch keinen Ausnahmetatbestand nach Art. 17 Abs. 3 DSGVO geltend machen, zumal ich keine Person des öffentlichen Lebens bin.
Sollte ich eine Einwilligung zur Verarbeitung meiner Daten (bspw. nach Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 DSGVO) erteilt haben, widerrufe ich diese hiermit für den gesamten Prozess der Datenverarbeitung.
Weiterhin lege ich im Sinne des Art. 21 DSGVO Widerspruch gegen die Verarbeitung mich betreffender personenbezogener Daten ein, dies gilt auch für Profiling. Ich fordere Sie auf, die Verarbeitung der mich betreffenden Daten gemäß Art. 13 Abs. 1 lit. d DSGVO einzuschränken, solange noch nicht feststeht, ob Ihre berechtigten Gründe gegenüber meinen überwiegen.
Falls Sie die betroffenen Daten öffentlich gemacht haben sollten, sind Sie nach Art. 17 Abs. 2 DSGVO dazu verpflichtet, alle angemessenen Maßnahmen zu treffen, um andere Verantwortliche, beispielsweise Suchmaschinenbetreiber, welche die oben aufgeführten personenbezogenen Daten verarbeiten, über meinen Antrag auf Löschung aller Links, Kopien oder Replikationen zu informieren. Dies gilt nicht nur für exakte Kopien der betroffenen Daten, sondern auch für solche, aus denen in den betroffenen Daten enthaltene Informationen entnehmbar sind.
Sofern Sie die betroffenen personenbezogenen Daten einem oder mehreren Empfängern im Sinne des Art. 4 Nr. 9 DSGVO offengelegt haben, haben Sie meinen Wunsch auf Löschung der genannten personenbezogenen Daten und sämtlicher Verweise darauf nach Art. 19 DSGVO auch allen solchen Empfängern mitzuteilen. Bitte informieren Sie mich weiterhin über diese Empfänger.
Sollten Sie die Löschung ablehnen, haben Sie dies mir gegenüber zu begründen.
Meine Anfrage schließt explizit auch sämtliche weiteren Angebote und Unternehmen ein, für die Sie Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sind.
Nach Art. 12 Abs. 3 DSGVO haben Sie mich unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die vorgenommenen Löschungen zu informieren.
Zur Identifikation meiner Person habe ich folgende Daten beigefügt:
Dipl. Ing. Richard A***; wohnhaft: **** E***berg; Geb.: **.**.1976; Tel.: 06**/*8*4*77*1; r.a***@x***net.com
Sollten Sie meinem Antrag nicht innerhalb der genannten Frist nachkommen, behalte ich mir vor rechtliche Schritte gegen Sie einzuleiten und Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzureichen. Heute ist der 3. Oktober 2020.
Schon im Voraus vielen Dank für Ihre Mühe.
Mit freundlichen Grüßen
Dipl. Ing. Richard A***“
11. Die Zustellung dieser Nachricht ist erfolgt.
12. Die Beschwerdegegnerin hat auf diese Nachricht nicht reagiert und keine Daten des Beschwerdeführers gelöscht. Der Beschwerdeführer hat zumindest am 20. November 2020, 1. Dezember 2020 und am 16. April 2021 weitere SMS mit „Jobangeboten“ der beschriebenen Art erhalten.
13. Beweiswürdigung : Wie zuletzt. Siehe insbesondere die Beilagen (grafische Dateien als Wiedergabe des Antrags auf Löschung vom 3. Oktober 2020) zur Beschwerde vom 1. Dezember 2020.
D. In rechtlicher Hinsicht folgt daraus:
D. 1. Summe :
14. Die Beschwerde hat sich als berechtigt erwiesen, da die Beschwerdegegnerin die Daten des Beschwerdeführers von Anbeginn an nicht rechtmäßig verarbeitet hat, da sie bei der Erhebung der Daten gegen den Transparenzgrundsatz gemäß Art. 5 Abs. 1 lit. a und Art. 14 Abs. 1 und 2 DSGVO verstoßen hat, weshalb sie gemäß Art. 17 Abs. 1 lit. d DSGVO jedenfalls zur Löschung verpflichtet ist. Die Beschwerdegegnerin ist es, trotz Aufforderung durch die Datenschutzbehörde, nicht gelungen, die Rechtmäßigkeit ihrer Datenverarbeitung nachzuweisen.
D.2. Einwand der Beschwerdegegnerin :
15. Die Beschwerdegegnerin hat der Beschwerde (in der – sehr kurzen – Stellungnahme vom 12. April 2021) nur entgegengehalten, dass sie die Daten des Beschwerdeführers über das AMS als der „offiziellen Plattform der Arbeitsvermittlung“ erhalten hätte. Damit macht sie sinngemäß geltend, die Daten des Beschwerdeführers für Zwecke der Ausübung ihres Gewerbes, somit aus überwiegenden berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeiten zu dürfen.
D.3. Rechtsgrundlage der Datenverarbeitung, Grundsätze und Rechtfertigungsgründe :
16. Losgelöst vom Beschwerdefall betrachtet, kämen solche berechtigten Interessen hier als Rechtsgrundlagen der Verarbeitung in Frage.
17. Die Beschwerdegegnerin übersieht jedoch, dass sie als datenschutzrechtlich Verantwortliche zur Sicherung der Rechtmäßigkeit ihrer Datenverarbeitung nicht nur einen Rechtfertigungsgrund gemäß Art. 6 DSGVO benötigt, sondern auch die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 DSGVO zu beachten und deren Einhaltung im Streitfall gemäß Abs. 2 leg. cit. der Datenschutzbehörde nachzuweisen hat (Rechenschaftspflicht). Auf Letzteres ist die Beschwerdegegnerin in der Verfahrensanordnung vom 23. April 2021, GZ: 2021-0.291.660, auch ausdrücklich hingewiesen worden. Ein derartiger Nachweis ist nicht erbracht worden.
18. Die Rechenschaftspflicht ist ein zentrales Element der DSGVO, das mit der verstärkten Eigenverantwortlichkeit des Verantwortlichen gegenüber der DS-RL neu hinzugekommen ist. Sie ergibt sich aus Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO und besagt, dass der Verantwortliche die Bestimmungen der DSGVO nicht nur einhalten muss, sondern auch dazu in der Lage sein muss, dies nachzuweisen. Den Verantwortlichen trifft somit die Beweislast für die Einhaltung der DSGVO. Insbesondere folgt daraus eine umfassende Dokumentationspflicht ( Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO (Stand 7.5.2020, rdb.at), Rz 58).
D.4. Transparenzgrundsatz und Informationspflicht :
19. Gemäß Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise , nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).
20. Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen. Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden (DSGVO, Erwägungsgrund 39, Satz 1 und 2, Unterstreichung durch die Datenschutzbehörde).
21. Der Umsetzung des Transparenzgrundsatzes dient insbesondere die Informationspflicht gemäß Art. 14 DSGVO, die zur Anwendung kommt, wenn zu verarbeitende Daten nicht bei der betroffenen Person selbst (d.h. nicht unter deren Mitwirkung, insbesondere Befragung, oder durch schriftliche oder Online-Bekanntgabe durch die betroffene Person selbst) erhoben werden.
22. Die Beschwerdegegnerin hat die Daten des Beschwerdeführers zwar einer von diesem selbst erstellten Stellenanzeige im eJob-Room des AMS entnommen, demnach dort eingesehen und kopiert, dies geschah jedoch ohne Mitwirkung des Beschwerdeführers und damit ohne die mit einer solchen Mitwirkung verbundene Kenntnisnahme von der Datenerhebung und den aus diesem Anlass vom Verantwortliche bereit zu stellenden Informationen. Die Ausnahme gemäß Art. 14 Abs. 5 lit. a DSGVO kommt daher hier nicht zur Anwendung.
23. Gemäß Art. 14 Abs. 3 lit. b DSGVO hätte die Beschwerdegegnerin daher spätestens zum Zeitpunkt der ersten SMS an den Beschwerdeführer diesem die gemäß Art. 14 Abs. 1 und 2 DSGVO in Frage kommenden Informationen erteilen müssen.
24. Da sie dies unterlassen hat, hat sie gegen den Transparenzgrundsatz gemäß Art. 5 Abs. 1 lit. a DSGVO verstoßen und die Daten des Beschwerdeführers damit bereits von Anbeginn an unrechtmäßig verarbeitet .
D.5. Für das Recht auf Löschung folgt daraus :
25. Gemäß Art. 17 Abs. 1 lit. d DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten unrechtmäßig verarbeitet wurden.
26. Auf weitere mögliche Löschungsgründe (insbesondere einen möglicherweise begründeten Widerspruch des Beschwerdeführers gemäß Art. 17 Abs. 1 lit. c DSGVO) muss daher nicht weiter eingegangen werden.
D.6. Schlussfolgerungen :
27. Die Beschwerdegegnerin wäre daher verpflichtet gewesen, die Daten des Beschwerdeführers nach dem Einlangen von dessen Antrag auf Löschung am 3. Oktober 2020 unverzüglich, längstens jedoch innerhalb der Monatsfrist gemäß Art. 12 Abs. 3 DSGVO zu löschen. Da sie dies unterlassen hat, hat sie den Beschwerdeführer in seinem Recht auf Löschung gemäß Art. 17 DSGVO verletzt. Dies war spruchgemäß festzustellen (Spruchpunkt 1).
28. Zur Durchsetzung des Rechts auf Löschung war die Beschwerdegegnerin weiters gemäß Art. 58 Abs. 2 lit. c DSGVO anzuweisen, dem Löschungsantrag des Beschwerdeführers nachzukommen (Spruchpunkt 2).
Rückverweise
